IT-Sicherheit im Homeoffice

Grundlagen im IT-Grundschutz

Im IT-Grundschutz-Kompendium sind für das Arbeiten außerhalb des Büros vor allem diese Bausteine einschlägig:

• OPS.1.2.4 «Telearbeit»: organisatorische Regeln für regelmäßiges Arbeiten von zu Hause.
• INF.8 «Häuslicher Arbeitsplatz»: Anforderungen an den Raum zu Hause.
• INF.9 «Mobiler Arbeitsplatz»: Arbeiten unterwegs, etwa im Zug oder beim Kunden.
• NET.3.3 «VPN» für den Zugang ins Firmennetz.
• SYS.3.1 «Laptops» und SYS.3.2.2 «Mobile Device Management (MDM)».

In den WiBA-Checklisten ist das Thema unter «Arbeit außerhalb der Institution» zusammengefasst.

Homeoffice-Sicherheit organisatorisch regeln

Schriftliche Vereinbarung

Das BSI empfiehlt deutliche, unmissverständliche und verbindliche Regelungen zur IT-Sicherheit und zur Sicherheit von Daten in Papierform, die schriftlich an alle Beteiligten kommuniziert werden. Eine Homeoffice-Regel sollte mindestens enthalten:

• welche Geräte genutzt werden dürfen,
• welche Daten zu Hause verarbeitet werden dürfen und welche nicht,
• wie der Zugang zu Firmensystemen erfolgt,
• wie Papierunterlagen aufbewahrt und entsorgt werden,
• wie Verlust, Diebstahl oder ein Verdacht gemeldet werden,
• wer bei technischen Problemen ansprechbar ist.

Ansprechpartner

Mitarbeitende im Homeoffice brauchen eine feste Anlaufstelle für Fragen zu Hard- und Software. Fehlt sie, entstehen Notlösungen wie das Weiterleiten von Firmenmails an private Postfächer.

Datenschutz

Werden zu Hause personenbezogene Daten verarbeitet, gelten dieselben Pflichten wie im Büro. Die Regeln zum Homeoffice sollten mit den technischen und organisatorischen Maßnahmen nach Datenschutzrecht abgestimmt sein.

Geräte

Firmengeräte

Der sicherste Weg sind vom Betrieb bereitgestellte und verwaltete Geräte. Sie werden nach der Standardkonfiguration eingerichtet, sind verschlüsselt, erhalten Updates zentral und haben einen aktiven Schutz gegen Schadsoftware. Das BSI nennt den Einsatz eines Mobile Device Managements ausdrücklich als gute Möglichkeit zur Absicherung.

Private Geräte

Private Geräte sind schwer zu kontrollieren. Wenn sie zugelassen werden, dann nur mit klaren Mindestanforderungen und bevorzugt über Zugänge, die keine Firmendaten dauerhaft auf dem Gerät speichern, etwa eine browserbasierte Anwendung oder einen Remote-Desktop. Für Smartphones lassen sich dienstliche und private Daten über eine getrennte Arbeitsumgebung voneinander abgrenzen.

Drucken zu Hause

Private Drucker speichern Druckaufträge teils intern und sind oft schlecht gepflegt. Wenn zu Hause gedruckt werden muss, sollte geregelt sein, wie Ausdrucke aufbewahrt und vernichtet werden.

Zugang zu Firmensystemen

VPN oder Cloud-Zugang

Der Zugriff auf das Firmennetz erfolgt über ein VPN oder über Cloud-Dienste mit gesicherter Anmeldung. Direkt aus dem Internet erreichbare Remote-Desktop-Dienste ohne zusätzliche Absicherung sind ein bekanntes Einfallstor und sollten nicht genutzt werden.

Zweiter Faktor

Fernzugänge sind nur mit Zwei-Faktor-Authentifizierung zulässig. Das BSI nennt das in seinen Top-10-Maßnahmen gegen Ransomware ausdrücklich, weil Angreifer häufig kompromittierte Fernzugänge nutzen.

Updates des Zugangs

VPN-Gateways und Fernzugriffslösungen sind exponiert und müssen besonders schnell aktualisiert werden. Ein ungepatchter Fernzugang gefährdet alle, die ihn nutzen, und das ganze Netz dahinter.

Das Heimnetz

Auf das private Heimnetz hat der Betrieb keinen Einfluss. Einige Empfehlungen sind trotzdem sinnvoll: aktuelle Firmware des Routers, ein starkes WLAN-Passwort, eine geänderte Zugangskennung für die Routeroberfläche und, wo möglich, ein separates Netz für Geräte wie Smart-TV oder Spielkonsolen. Unabhängig davon sollte der Firmenzugang so gebaut sein, dass er auch in einem unsicheren Netz geschützt bleibt.

Der Raum zu Hause

Das BSI empfiehlt Maßnahmen, mit denen sich am Heimarbeitsplatz ein Sicherheitsniveau erreichen lässt, das mit einem Büroraum vergleichbar ist. Praktisch heißt das: Bildschirm so aufstellen, dass Mitbewohner oder Besucher nicht mitlesen, Unterlagen verschlossen aufbewahren, Gerät beim Verlassen sperren, bei Telefonaten und Videokonferenzen auf Mithörer achten.

Videokonferenzen und Zusammenarbeit

Im Homeoffice laufen Besprechungen, Dateiaustausch und Chat über Kollaborationsdienste. Der Betrieb sollte festlegen, welche Dienste genutzt werden, und private Alternativen ausschließen, damit Firmendaten nicht in unbekannten Konten landen. Besprechungen mit vertraulichen Inhalten brauchen einen Zugangsschutz, etwa Warteraum oder Kennwort. Geteilte Bildschirme zeigen schnell mehr als beabsichtigt; vor dem Teilen sollten nicht benötigte Fenster und Benachrichtigungen geschlossen werden.

Regelmäßige Überprüfung

Homeoffice-Regeln veralten, wenn sich Werkzeuge und Arbeitsweisen ändern. Prüfen Sie einmal im Jahr, ob die Regeln noch passen, ob alle Fernzugänge einen zweiten Faktor verlangen und ob die Geräte im Homeoffice tatsächlich Updates erhalten. Kurze Rückfragen bei den Mitarbeitenden zeigen, wo Regeln im Alltag nicht funktionieren und Notlösungen entstanden sind.

Verlust und Vorfälle

Verlorene oder gestohlene Geräte müssen sofort gemeldet werden, damit Passwörter geändert und Zugänge gesperrt werden können. Mit einem Mobile Device Management lassen sich Geräte aus der Ferne sperren oder löschen. Auch Verdachtsfälle, etwa eine merkwürdige Mail oder ein ungewöhnliches Verhalten des Laptops, sollten aus dem Homeoffice genauso schnell gemeldet werden wie aus dem Büro.